Кстати именно update можно очень качественно с апрувалами и мониторингом статусов делать как раз AWS systems manager, в том числе и для windows.
Я знаю за Patch manager, да, и по хорошему его и надо — выключили инстанс из LB, обновили, перегрузили, обратно в LB включили.
Только вот не все инстансы за LB :-(